從華住信息泄露事件淺談個人信息的保護

0 引言

華住集團用戶數據在暗網售賣一事，在網絡上引起軒然大波。所泄露信息包含用戶的姓名、身份證號、登錄密碼等內容。數量高達5億條，波及人數超過1.3億。規模之大、范圍之廣，在進入網絡時代以來尚屬首例。借助網絡的高速傳播，危害已然無法挽回。而由于沒有切實證據，所以事故責任至今無法明確認定。其實，在此之前不足三個月，大規模“微博盜號”案剛剛塵埃落定，在此之后“Githup”密碼泄露案又隨之而來。在企業廣泛應用大數據技術為用戶畫像以實現精準營銷的環境下，用戶信息的價值不斷被無保護的挖掘，而信息安全技術的應用與相關法規的創新顯著滯后，導致信息泄露問題變得十分普遍。所以，關于個人信息保護問題的探討在現如今是一個十分重要而且迫切需要解決的議題。

1 個人信息保護面臨的嚴峻形勢

1.1 立法層面的問題

1.1.1 個人信息概念界定模糊

只有理解清楚，什么是“個人信息”，才能更好地用法律武器保護個人信息。我國《網絡安全法》中規定：“以數字信息技術為載體，可以獨立或結合其他信息對公民個人身份進行識別的相關信息”屬于個人信息。然而在網絡時代，個人信息更加多樣化，涵蓋的內容更多，法律無法作出有效的保障。在學者給出的建議稿中采用了《中華人民共和國網絡安全法》中關于個人信息的界定[1]。但是至今沒有一個明確的概念。

1.1.2 現有法律法規不完善

我國現有關于個人信息保護的法律法規尚不完善。目前，我國法律對個人信息以間接保護為主。如：《身份證法》（2003年）、《消費者權益保護法》（2013）、《刑法修正案（九）》（2015年）等法案間接規定了不允許泄露、買賣個人信息，并增設了非法獲取信息的罪名。《網絡安全法》（2016）中也明確規定了網絡環境下個人保護的基本規則。從民事權利的保護來看，目前《民法總則》中僅有相關規定，卻并沒有有效的懲處措施，所以威懾力度較弱。從刑法來看，刑法條文中針對的信息泄露問題主要是“泄露”、“非法購買”等犯罪行為，而對“非法使用”則缺乏約束力。

1.2 監管層面的問題

1.2.1 監管機制不健全

面對大數據時代個人信息泄露的嚴峻趨勢，我國還沒有建立起一套完善的政府監管機制[2]。2014年，我國制定并推行了《信息安全技術云計算服務安全能力要求》標準，明確規定了參與云服務的企業需要具備的信息安全管理資質。然而，該標準尚不完善，導致許多管理不規范、技術水平不夠的服務商參與進來，使得個人信息安全的事前監管機制失效。此外，由于個人信息在大數據時代展現出極高的商業價值，而企業有逃避現有監管部門監管的技術能力，這為事中監管制造了很大的困難。最后，網絡技術產業逐漸成為地方經濟發展的支柱性產業，許多地方政府對大數據發展往往采取保護態度，秉持“效率凌駕公平”的理念，對信息泄露問題的處罰標準較低，事后監管的威懾力不足。

1.2.2 單邊治理問題嚴重

目前我國個人信息安全保護和監管工作主要由政府部門負責，然而個人信息安全問題涉及的利益主體不僅包含政府，還包括企業、個人以及行業協會等等。個人信息安全的監管與保護工作所需面對的問題十分復雜，僅靠政府一方的力量遠遠不夠。從現如今的實踐成果來看，各方主體的作用還沒有真正發揮。企業為了維護自身短期利益，對個人信息保護懷有抵觸情緒，行業協會在保護用戶信息方面有名無實，無法促使行業自律。個人對于信息安全的保護意識不夠充分，不能通過輿論來讓企業和社會整體對個人信息保護問題加強重視。

1.3 企業層面的問題

逐利是資本的天性。互聯網商業模式的野蠻生長期，出于獲利的需求和競爭的壓力，使得企業內部缺乏對用戶個人信息進行保護的動力。以華住集團為例，在“華住事件”爆發以前，由于粗放式的管理導致數據泄露屢禁不止，信息安全能力屢受質疑。與此同時，華住集團對于用戶信息的收集卻十分重視，通過網絡營銷、電話營銷等措施，不斷利用用戶信息進行精準營銷和業務拓展。市場對個人信息的大量需求催生了灰色產業鏈條，各類相關企業爭相竊取用戶信息。DCCI互聯網數據中心2017年發布報告顯示，Android系統中96.6%的應用會獲取用戶隱私權限，其中25.3%存在越界獲取信息的可能性[3]。

1.4 個人層面的問題

互聯網時代技術發展速度遠遠超過人們充分適應的速度，信息泄露危害尚不足以喚起民眾的焦慮與恐慌。加上公民對信息安全的認識較為模糊，對個人信息安全保護相關法律的理解較為淺顯，所以遇到信息泄露或濫用的情況，往往不以為然;面對電話騷擾、詐騙短信等問題，除造成嚴重的損失，否則不會進行維權。另外，目前的法律環境下個人維權成本極高，維權成功難度較大[4]。

2 針對個人信息保護的相應對策

2.1 立法層面的對策

我國《個人信息保護法》目前正在訂制之中，在利用相關技術對個人信息的概念進行界定的基礎上，應加快推進立法進程。明確個人權利主體所應享有的權利范疇，界定相關義務主體的責任[5]。從立法層面完善個人信息安全的保護機制，強化個人信息違法犯罪行為的處罰力度。與此同時，以《個人信息保護法》為統籌，結合不同的行業環境，逐步完善相關法典中關于個人信息保護的相關內容。補充刑法中關于個人信息使用等下游犯罪行為的法條，加強對個人信息非法傳播的打擊力度。進一步完善法律法規，應從需求端入手，有針對性的控制市場上非法倒賣個人信息的行為，從而整肅風氣，震懾犯罪行為，突破個人信息泄露“破窗效應”所帶來的負面影響。

2.2 監管層面的對策

2.2.1 建立個人信息安全的全過程監管機制

從事前監督的角度，應逐步完善大數據服務準入制度，加強服務商的技術能力和信用的審核，完善技術安全標準。政府監管部門應積極與第三方組織合作，利用第三方組織的技術能力，實現對大數據服務市場的深入監督與管制。加強對個人信息安全的前置性保護，避免因服務商資質問題而埋下信息安全隱患。從事中監督的角度，應定期展開巡查，動態監測服務商以及相關企業對個人信息操作的合規性。制定監管制度，提升巡查的嚴肅性。總結歸納國外經驗與教訓，完善個人信息安全風險管理機制與管理能力。從事后監督的角度，要強調違法必究、執法必嚴，敦促地方關注互聯網產業的健康發展。在具體操作上，要建立個人信息泄露的溯源機制，提升執法的及時性，降低信息泄露所造成的危害。

2.2.2 建立個人信息安全保護的多元治理機制

以政府為主導，通過政策鼓勵等措施，引導互聯網行業中的龍頭企業研發個人信息安全保護的新技術，邀請其參與信息安全標準的制定。從而在技術層面提升個人信息安全。其次，扶植行業協會并敦促其發揮自律、自糾的職能，不斷完善產業環境，推動互聯網產業健康有序發展。再次，完善舉報投訴機制，鼓勵公民對信息安全問題進行投訴，并提供一定程度的法律援助，提升信息安全訴訟的成功率。通過調動相關利益主體充分參與到個人信息安全保護中，讓企業、社會、個人都參與到信息安全保護工作當中。

2.3 企業層面的對策

隨著互聯網行業不斷發展并逐漸進入相對穩定的產業格局，具有壟斷能力的企業有資格也有動力推行行業標準，通過限制對個人信息的非法獲取和不當利用來壓制新興企業，同時提升自身的品牌形象和美譽度。在這種情況下，需要加快推進這一進程。從政府角度出發，應敦促建立行業監督協會，完善行業自查、企業自律機制。同時，強制性規定企業在信息安全方面的投入占經營收益比例，提升信息安全管理在企業管理的地位。完善行業標準，對于涉及用戶信息的產品和服務嚴格審查其獲取途徑和獲取權限的合理性。對于惡意搜集和不當利用用戶信息的行為，以行業標準為依據進行處罰。

2.4 個人層面的對策

從增強信息安全保護意識的角度，應充分發揮媒體宣傳的職能，對于信息泄露所引發的問題與后果進行深度分析與廣泛宣傳，結合近期熱點信息，以民眾喜聞樂見的形式進行宣講。自下而上的提高信息安全管理意識，通過增強個人的信息安全意識來提高輿論聲浪，進而通過輿論倒逼來推動企業對個人信息保護問題作出實質性的改革。從增強信息安全問題維權意識的角度，應做好普法宣傳，結合逐步完善的法律法規與日漸周密的監管措施，為被侵權民眾增強訴訟信心，從而讓民眾廣泛參與到個人信息安全保護活動當中。

3 結語

大數據時代的用戶個人信息是所有企業的富礦，在挖掘過程中如果不注意保護，肆意濫用，所侵害的將不僅是用戶群體，更是行業和企業本身。華住集團信息泄露事件雖然影響范圍巨大，但引發的震動卻并不顯著。可見對于信息安全問題，無論是國家管理層面還是輿論層面都尚未觸底反彈，其間是幸或不幸難以定論，但越早加強管制、完善法規、提升信息安全保護意識，對個人、行業乃至于國家發展將越有益處。

參考文獻

[1] 齊愛民.中華人民共和國個人信息保護法學者建議稿[J].河北法學，2019（1）：154-157.

[2] 劉智勇.云計算服務中數據安全的若干問題研究[J].山東工業技術，2018（7）114-159.

[3] 騰訊社會研究中心，DCCI互聯網數據中心.2017年度網絡隱私安全及網絡欺詐行為分析報告[R].2017.

[4] 徐槐，鞏東東.個人信息泄露的方式、隱患及預防策略研究[J].法制博覽，2016（13）：196-197.

[5] 周漢華.探索激勵相容的個人數據治理之道——中國個人信息保護法的立法方向[J].法學研究，2018（2）：3-23.